Вопреки убеждению о крайне высокой степени защищённости программ-загрузчиков для систем на базе UNIX, в недавно появились сообщения от специалистов по безопасности о достаточно критичных недочётах, вплоть до степени риска до 7,5 по шкале CVSS 3.0 .
В этот список попали такие загрузчики, как GRUB и его следующая модификация – GRUB2, а основной уязвимостью, с которой всё началось, оказалась BootHole.
Самое главное, что на базе этой уязвимости загрузки стали возможны создания параллельных путей прохождения информации при проверках от алгоритма, лежащего в основе структуры UEFI и его Secure Boot, что в итоге нивелирует гарантии этого механизма о надёжности загружаемого кода.
За несколько месяцев специалистами было обработано множество отчётов об ошибках этих загрузчиков, что в итоге дало возможность создать пакет исправлений, учитывающий 117 корректировок.
Тем не менее, дальнейшие работы в этом направлении не только не прекращаются, а наоборот, входят в более насыщенную фазу: ввиду проработки не только специалистами по безопасности, но и киберпреступниками кодов на уровне поиска уязвимостей искусственным интеллектом, усложняется сама система обнаружения путей обхода защит из-за возникновения многоуровневых векторов атак, и, таким образом, усложнения их обнаружения.
Что касается Windows, то буквально месяц назад были выпущены автоматические обновления для блокировки в случае попыток внедрения руткитов в саму прошивку UEFI, а также для попыток игнорирования микросхем TPM (то есть доверенного платформенного модуля) и DBX, которая включает в себя базы запрещённых загрузок – или сигнатур.
Не остановившись на этом и понимая критическую важность подобных патчей для безопасности загрузки и функционирования своих OS, корпорация Microsoft акцентирует внимание на специальном выпуске руководства, в котором описывается точная последовательность установки таких обновлений, в случае, когда по каким-то причинам автоматическое обновление отключено: «Secure Boot DBX».
